HTML :: StripScripts è ancora sicuro per rimuovere exploit moderni?

Question

Ho bisogno di un modo in Perl per eliminare le cose cattive, come XSS, interiezione di immagini e opere.

Ho trovato HTML :: StripScripts ma non si è aggiornato vicino a due anni e non sono aggiornato con tutti i nuovi exploit.

È sicuro?

Quali altri linguaggi di markup (in Perl) useresti?

Answer 1

HTML :: StripScripts è una lista bianca e può usare un parser basato su albero e dovrebbe essere sicuro come la lista bianca.

Answer 2

XSS è un argomento vasto e gli exploit emergono a giorni alterni.

La semplice rimozione di script non renderà sicuro il tuo codice / sito.

È meglio non provare a eliminare (la lista nera) certe cose. È più sicuro inserire nella lista bianca caratteri html / speciali consentiti sul tuo sito. cioè <b>, <i>

Defang sembra essere l'ultima / più grande libreria anti XSS per perl su cpan

Blacklisting vs Whitelisting

OWASP XSS Cheat Sheet

E suggerisco di giocare con CAL9000 per avere un'idea di quanto sia diffusa / XSS difficile è